Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\oflgwxqukb
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\svchost.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль wininet.dll
- Процесс firefox.exe, модуль nss3.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\svchost.exe
- %TEMP%\fb_3591.tmp.exe
- %TEMP%\fb_3563.tmp.exe
- %TEMP%\fb_31ba.tmp.exe
- %TEMP%\fb_314c.tmp.exe
- %HOMEPATH%\temp\crga.xl
- %TEMP%\4_26\dmgkpoovw.icm
- %TEMP%\4_26\abfqt.dll
- %TEMP%\4_26\mota.pdf
- %TEMP%\4_26\piuwiic.txt
- %TEMP%\4_26\iewwrxgou.msc
- %TEMP%\4_26\vicncsnnte.txt
- %TEMP%\4_26\nmiddefxq.ppt
- %TEMP%\4_26\fejbrppvsb.xl
- %TEMP%\4_26\tqsqq.icm
- %TEMP%\4_26\txondsoxu.xml
- %TEMP%\4_26\wccxffcm.mp3
- %TEMP%\4_26\gtfifrna.mp3
- %TEMP%\4_26\xnfnwumrj.ppt
- %TEMP%\4_26\shbkjprhc.xl
- %TEMP%\4_26\eegp.bmp
- %TEMP%\4_26\ghfhlc.dat
- %TEMP%\4_26\jkcsfcgtx.xml
- %TEMP%\4_26\dlbodup.jpg
- %TEMP%\4_26\emftqjvch.jpg
- %TEMP%\4_26\gtolaje.exe
- %TEMP%\4_26\ojulmltrx.vbe
- %TEMP%\4_26\pbotw.xml
- %TEMP%\4_26\crga.xl
- %TEMP%\4_26\uwsrkdh.dkl
- %APPDATA%\oflgwxqukb\svcupdater.exe
- %APPDATA%\oflgwxqukb\svcupdater.pid
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\4_26\gtolaje.exe
Удаляет следующие файлы
- %TEMP%\fb_31ba.tmp.exe
Сетевая активность
Подключается к
- '18#.#46.220.65':80
- '18#.#09.160.47':80
- 'be####mposable.com':80
- 'ch#####lesmagazine.net':80
TCP
Запросы HTTP GET
- http://18#.#46.220.65/btc/Order_088067.exe
- http://18#.#09.160.47/bot/regex?ke##################################################################
- http://18#.#09.160.47/bot/online?gu################################################################################
- http://www.be####mposable.com/nurs/?d2##########################################################################################
- http://www.ch#####lesmagazine.net/nurs/?d2##########################################################################################
UDP
- DNS ASK ho#####seeking.online
- DNS ASK yo#####ntractors.com
- DNS ASK be####mposable.com
- DNS ASK ch#####lesmagazine.net
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\4_26\ojulmltrx.vbe"
- '%TEMP%\4_26\gtolaje.exe' pbotw.xml
- '%TEMP%\fb_314c.tmp.exe'
- '%TEMP%\fb_31ba.tmp.exe'
- '%TEMP%\fb_3591.tmp.exe'
- '%TEMP%\fb_3563.tmp.exe'
- '%APPDATA%\oflgwxqukb\svcupdater.exe'
- '%APPDATA%\oflgwxqukb\svcupdater.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
- '<SYSTEM32>\cmd.exe' /C schtasks /create /tn \oflgwXquKB /tr "%APPDATA%\oflgwXquKB\svcupdater.exe" /st 00:00 /du 9999:59 /sc once /ri 1 /f
- '%WINDIR%\syswow64\netsh.exe'
- '%WINDIR%\syswow64\cmmon32.exe'
- '<SYSTEM32>\schtasks.exe' /create /tn \oflgwXquKB /tr "%APPDATA%\oflgwXquKB\svcupdater.exe" /st 00:00 /du 9999:59 /sc once /ri 1 /f
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\FB_31BA.tmp.exe"
- '<SYSTEM32>\taskeng.exe' {D4BD5050-7B7B-4E2B-B59D-6FD76AC05D42} S-1-5-21-1960123792-2022915161-3775307078-1001:tqlohswj\user:Interactive:[1]
